Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re - 182

6
des risques de pertes, d'altérations, de divulgations,
d'accès non autorisés et finalités des traitements
des données personnelles. Il s'agit tout particulièrement
de protéger les droits et libertés des personnes
physiques ;
* définir les moyens qui permettraient suite à un incident
de rétablir la disponibilité des données ;
* tester et évaluer régulièrement l'efficacité des mesures
prises.
La conjugaison des articles 33 et 34 du RGPD
permet d'identifier les différentes obligations pesant
sur le Responsable de traitement en cas de violation
de données à caractère personnel vis-à-vis
de l'autorité de contrôle mais aussi des personnes
concernées. Elles peuvent comme ci-après être
schématisées.
Une double obligation de « notification » et de « documentation
» à l'autorité de contrôle d'une violation de
données à caractère personnel l'employeur tenant de
fait un registre des failles de sécurité. Elle peut être ainsi
schématisée.
Figure 25. Les principales obligations pesant sur le responsable de traitement vis-à-vis de l'autorité
de contrôle en cas de violation des données personnelles
Les obligations pesant sur le Responsable de traitement
des données personnelles vis-à-vis de l'autorité de contrôle
(RGPD, art. 33)
Obligation de « notification »
Elle doit indiquer a minima : la nature de la violation, les catégories
et nombre de personnes concernées, les conséquences probables
de la violation, les mesures prises pour y remédier
et en atténuer les conséquences négatives, le nom
et les coordonnées du délégué à la protection des données
(ou de tout point de contact auprès duquel des informations
supplémentaires peuvent être obtenues)
Elle doit être réalisée sur tout support en interne et peut l'être
auprès de la CNIL par « télédéclaration » (Notification (cnil.fr))
423. Quand ? - Dès lors que la violation engendre
un risque élevé pour les droits et libertés de la personne
physique dont les données personnelles ont été violées.
Si elle n'a pas été réalisée, dès lors que l'autorité de
contrôle considère que la violation engendre un risque
élevé.
182
424. Comment ? - La communication doit être faite
« dans les meilleurs délais » après avoir pris connaissance
de la violation, en des termes « clairs et simples ». On
entend par « dans les meilleurs délais », 72 heures au
plus tard (en cas de retard, il convient de la justifier).
Et par tout moyen (LRAR, courrier électronique). La
Obligation de « documentation »
(qu'une notification ait été réalisée ou non)
Elle consiste à documenter les faits constitutifs
de la violation, ses effets mais aussi les mesure
prises pour y remédier

http://www.cnil.fr

Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re

Table des matières de la publication Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re